컨테이너 런타임 — Docker Engine, containerd, runc의 관계

┌── 사용자 ──────────────────────────────────────────┐
│  docker CLI                                        │
│  docker compose                                    │
└──────────┬─────────────────────────────────────────┘
           │ REST API (unix socket)
           ↓
┌── Docker 데몬 (dockerd) ──────────────────────────┐
│  • 이미지 빌드 (BuildKit)                          │
│  • 네트워크 관리                                    │
│  • 볼륨 관리                                       │
│  • API 서버                                        │
└──────────┬─────────────────────────────────────────┘
           │ gRPC
           ↓
┌── containerd ─────────────────────────────────────┐
│  • 이미지 pull/push                                │
│  • 컨테이너 생명주기 관리                           │
│  • 스냅샷(스토리지) 관리                            │
│  • 태스크 관리                                     │
└──────────┬─────────────────────────────────────────┘
           │ OCI Runtime Spec
           ↓
┌── runc ───────────────────────────────────────────┐
│  • namespace 생성                                  │
│  • cgroups 설정                                    │
│  • 프로세스 실행                                    │
│  • 실행 후 즉시 종료 (상주하지 않음)                 │
└───────────────────────────────────────────────────┘

# CLI → dockerd로 REST API 요청
docker run nginx
# 실제로는 POST /containers/create + POST /containers/{id}/start

# Docker 소켓 직접 호출 (CLI 없이)
curl --unix-socket /var/run/docker.sock \
    http://localhost/v1.44/containers/json | jq

# dockerd 프로세스 확인
ps aux | grep dockerd
# root  1234  /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock

# 설정 파일
cat /etc/docker/daemon.json

# containerd 프로세스
ps aux | grep containerd
# root  2345  /usr/bin/containerd

# containerd 직접 제어 (ctr 명령어)
ctr images ls
ctr containers ls
ctr tasks ls

# runc로 직접 컨테이너 실행 (개념 이해용)
# 1. OCI 번들 준비 (rootfs + config.json)
mkdir -p bundle/rootfs
docker export $(docker create busybox) | tar xf - -C bundle/rootfs
runc spec --bundle bundle

# 2. config.json 편집 (namespace, cgroups 설정)
# 3. 실행
cd bundle
runc run my-container

containerd → runc(실행 후 종료) → containerd-shim(부모 역할) → 컨테이너 프로세스

# shim 프로세스 확인
ps aux | grep containerd-shim
# root  3456  /usr/bin/containerd-shim-runc-v2 -namespace moby -id abc123...

// config.json (OCI 런타임 번들의 핵심 파일)
{
    "ociVersion": "1.0.2",
    "process": {
        "terminal": false,
        "user": { "uid": 0, "gid": 0 },
        "args": ["nginx", "-g", "daemon off;"],
        "env": ["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin"],
        "cwd": "/"
    },
    "root": {
        "path": "rootfs",
        "readonly": false
    },
    "linux": {
        "namespaces": [
            { "type": "pid" },
            { "type": "network" },
            { "type": "mount" },
            { "type": "ipc" },
            { "type": "uts" }
        ],
        "resources": {
            "memory": { "limit": 536870912 },
            "cpu": { "shares": 1024 }
        }
    }
}

# Docker CLI와 거의 동일한 명령어
podman run -d --name web nginx
podman ps
podman images

# Docker에서 Podman으로 전환 (별칭 설정)
alias docker=podman

# Kubernetes YAML 생성
podman generate kube myapp > myapp.yaml

Kubernetes (kubelet)
       │
       │ CRI (Container Runtime Interface)
       ↓
   ┌── CRI-O ──┐
   │            │
   │  runc      │
   └────────────┘

일반 컨테이너:
컨테이너 → 시스템콜 → 호스트 커널

gVisor 컨테이너:
컨테이너 → 시스템콜 → gVisor(사용자 공간 커널) → 제한된 호스트 시스템콜

# gVisor(runsc) 설치 후
docker run --runtime=runsc nginx

Kata Containers:
컨테이너 → 경량 VM(QEMU/Firecracker) → 전용 커널 → 호스트 커널

┌── Kubernetes ──────────────────────────────────┐
│  kubelet                                        │
│    │                                            │
│    │ CRI (Container Runtime Interface)          │
│    ├─→ containerd → runc                        │
│    ├─→ CRI-O → runc                             │
│    └─→ containerd → gVisor (runsc)              │
└─────────────────────────────────────────────────┘

# Kubernetes 노드의 컨테이너 런타임 확인
kubectl get nodes -o wide
# NAME     STATUS   ROLES    VERSION   CONTAINER-RUNTIME
# node-1   Ready    <none>   v1.29.0   containerd://1.7.13

# Docker로 실행된 컨테이너의 프로세스 트리
pstree -p $(pgrep dockerd)
# dockerd(1234)
#   └── (containerd는 별도 프로세스)

pstree -p $(pgrep -x containerd)
# containerd(2345)
#   ├── containerd-shim(3456)
#   │     └── nginx(4567)  ← 컨테이너 프로세스
#   └── containerd-shim(3457)
#         └── postgres(4568)